इथरनेट एन्क्रिप्शन उपकरणहरू कसरी मूल्याङ्कन र तुलना गर्ने

मैले यो समीक्षा लेखे (वा, यदि तपाइँ चाहानुहुन्छ, तुलना गाइड) जब मलाई विभिन्न विक्रेताहरूबाट धेरै उपकरणहरू तुलना गर्ने काम दिइएको थियो। साथै, यी यन्त्रहरू विभिन्न वर्गहरू थिए। मैले यी सबै उपकरणहरूको वास्तुकला र विशेषताहरू बुझ्नुपर्ने थियो र तुलनाको लागि "समन्वय प्रणाली" सिर्जना गर्नुपर्‍यो। यदि मेरो समीक्षाले कसैलाई मद्दत गर्छ भने म खुसी हुनेछु:

• एन्क्रिप्शन उपकरणहरूको विवरण र विशिष्टताहरू बुझ्नुहोस्
• वास्तविक जीवनमा साँच्चै महत्त्वपूर्ण भएका "कागज" विशेषताहरूलाई छुट्याउन
• विक्रेताहरूको सामान्य सेटभन्दा बाहिर जानुहोस् र समस्या समाधान गर्न उपयुक्त हुने कुनै पनि उत्पादनहरूलाई विचारमा समावेश गर्नुहोस्।
• वार्ताको समयमा सही प्रश्नहरू सोध्नुहोस्
• ड्रा अप टेन्डर आवश्यकताहरू (RFP)
• यदि एक निश्चित उपकरण मोडेल चयन गरिएको छ भने कुन विशेषताहरू बलिदान गर्नुपर्नेछ बुझ्नुहोस्

के मूल्याङ्कन गर्न सकिन्छ

सिद्धान्तमा, यो दृष्टिकोण रिमोट इथरनेट खण्डहरू (अन्तर-साइट इन्क्रिप्सन) बीच नेटवर्क ट्राफिक इन्क्रिप्ट गर्न उपयुक्त कुनै पनि स्ट्यान्डअलोन उपकरणहरूमा लागू हुन्छ। यी छुट्टै घेरामा "बक्सहरू" हुन् (ठीक छ, हामी यहाँ ब्लेड/चेसिस मोड्युलहरू पनि समावेश गर्नेछौं), जुन एक वा बढी इथरनेट पोर्टहरू मार्फत स्थानीय (क्याम्पस) इथरनेट नेटवर्कमा अनइन्क्रिप्टेड ट्राफिकको साथ जडान गरिन्छ, र अर्को पोर्ट(हरू) मार्फत च्यानल/नेटवर्कमा जसको माध्यमबाट इन्क्रिप्टेड ट्राफिक अन्य, टाढाको खण्डहरूमा प्रसारित हुन्छ। यस्तो इन्क्रिप्शन समाधानलाई विभिन्न प्रकारका "ट्रान्सपोर्ट" (डार्क फाइबर, फ्रिक्वेन्सी-डिभिजन मल्टिप्लेक्सिङ उपकरण, स्विच गरिएको इथरनेट नेटवर्कहरू, साथै फरक राउटिङ आर्किटेक्चर भएको नेटवर्क मार्फत राखिएको "स्यूडो-तारहरू", प्रायः MPLS) मार्फत निजी वा अपरेटर नेटवर्कमा तैनाथ गर्न सकिन्छ, प्रविधि प्रयोग गरेर। VPN वा यो बिना।

वितरित इथरनेट नेटवर्कमा नेटवर्क इन्क्रिप्सन

यन्त्रहरू आफैं पनि हुन सक्छन् विशेष (इन्क्रिप्सनका लागि विशेष रूपमा अभिप्रेरित), वा बहुकार्यात्मक (हाइब्रिड, अभिसरण), त्यो पनि अन्य प्रकार्यहरू प्रदर्शन गर्दै (उदाहरणका लागि, फायरवाल वा राउटर)। विभिन्न विक्रेताहरूले आफ्ना यन्त्रहरूलाई विभिन्न वर्गहरू/कोटिहरूमा वर्गीकृत गर्छन्, तर यसले फरक पार्दैन - केवल महत्त्वपूर्ण कुरा तिनीहरूले क्रस-साइट ट्राफिक इन्क्रिप्ट गर्न सक्छन् कि छैनन्, र तिनीहरूसँग के विशेषताहरू छन्।

केवल यदि, म तपाईंलाई सम्झाउँछु कि "नेटवर्क ईन्क्रिप्शन", "ट्राफिक ईन्क्रिप्शन", "इन्क्रिप्टर" अनौपचारिक सर्तहरू हुन्, यद्यपि तिनीहरू प्राय: प्रयोग गरिन्छ। तपाईंले प्रायः तिनीहरूलाई रूसी नियमहरूमा फेला पार्नुहुनेछैन (GOSTs परिचय गर्नेहरू सहित)।

एन्क्रिप्शन स्तर र प्रसारण मोडहरू

मूल्याङ्कनका लागि प्रयोग गरिने विशेषताहरू वर्णन गर्न सुरु गर्नु अघि, हामीले पहिले एउटा महत्त्वपूर्ण कुरा बुझ्नुपर्छ, अर्थात् "इन्क्रिप्शन स्तर"। मैले याद गरे कि यो प्रायः आधिकारिक विक्रेता कागजातहरूमा (विवरण, म्यानुअल, आदि) र अनौपचारिक छलफलहरूमा (वार्तालाप, तालिमहरूमा) दुवै उल्लेख गरिएको छ। त्यो हो, हामी के कुरा गरिरहेका छौं सबैलाई राम्ररी थाहा छ जस्तो देखिन्छ, तर मैले व्यक्तिगत रूपमा केही भ्रम देखेको छु।

त्यसोभए "इन्क्रिप्शन स्तर" के हो? यो स्पष्ट छ कि हामी OSI/ISO सन्दर्भ नेटवर्क मोडेल तह को संख्या को बारे मा कुरा गर्दै छ जसमा ईन्क्रिप्शन हुन्छ। हामी पढ्छौं GOST R ISO 7498-2-99 “सूचना प्रविधि। खुला प्रणालीहरूको अन्तरसम्बन्ध। आधारभूत सन्दर्भ मोडेल। भाग २. सूचना सुरक्षा वास्तुकला।" यस कागजातबाट यो बुझ्न सकिन्छ कि गोपनीयता सेवाको स्तर (इन्क्रिप्शन प्रदान गर्ने संयन्त्रहरू मध्ये एक) प्रोटोकलको स्तर हो, सेवा डेटा ब्लक ("पेलोड", प्रयोगकर्ता डेटा) जसको इन्क्रिप्ट गरिएको छ। यो मानकमा पनि लेखिएको छ, सेवा दुबै समान स्तरमा प्रदान गर्न सकिन्छ, "आफ्नै रूपमा" र तल्लो तहको सहयोगमा (यस तरिकाले, उदाहरणका लागि, यो प्रायः MACsec मा लागू हुन्छ)। ।

अभ्यासमा, नेटवर्कमा ईन्क्रिप्टेड जानकारी प्रसारण गर्ने दुई मोडहरू सम्भव छन् (IPsec तुरुन्तै दिमागमा आउँछ, तर उही मोडहरू अन्य प्रोटोकलहरूमा पनि पाइन्छ)। IN यातायात (कहिलेकाहीँ नेटिभ पनि भनिन्छ) मोड इन्क्रिप्टेड मात्र हुन्छ सेवा डाटाको ब्लक, र हेडरहरू "खुला", अनइन्क्रिप्टेड रहन्छन् (कहिलेकाहीँ इन्क्रिप्शन एल्गोरिदमको सेवा जानकारीका साथ अतिरिक्त क्षेत्रहरू थपिन्छन्, र अन्य क्षेत्रहरू परिमार्जन र पुन: गणना गरिन्छ)। IN सुरुङ सबै समान मोड प्रोटोकल डाटा ब्लक (अर्थात, प्याकेट आफैं) उही वा उच्च स्तरको सेवा डाटा ब्लकमा एन्क्रिप्टेड र इन्क्याप्सुलेटेड छ, अर्थात्, यो नयाँ हेडरहरूले घेरिएको छ।

केहि प्रसारण मोड संग संयोजन मा ईन्क्रिप्शन स्तर आफै राम्रो वा खराब छैन, त्यसैले यो भन्न सकिदैन, उदाहरण को लागी, यातायात मोड मा L3 सुरुङ मोड मा L2 भन्दा राम्रो छ। यो केवल यन्त्रहरू मूल्याङ्कन गरिएका धेरै विशेषताहरू तिनीहरूमा निर्भर छन्। उदाहरणका लागि, लचिलोपन र अनुकूलता। यातायात मोडमा नेटवर्क L1 (बिट स्ट्रिम रिले), L2 (फ्रेम स्विचिङ) र L3 (प्याकेट राउटिङ) मा काम गर्न, तपाईंलाई समान वा उच्च स्तरमा इन्क्रिप्ट गर्ने समाधानहरू चाहिन्छ (अन्यथा ठेगाना जानकारी इन्क्रिप्ट हुनेछ र डाटा हुनेछ। यसको अभिप्रेत गन्तव्यमा पुग्न सक्दैन), र टनेल मोडले यो सीमिततालाई पार गर्दछ (यद्यपि अन्य महत्त्वपूर्ण विशेषताहरू त्याग गर्दै)।

यातायात र सुरुङ L2 एन्क्रिप्शन मोडहरू

अब विशेषताहरू विश्लेषण गर्न अगाडि बढौं।

उत्पादकता

सञ्जाल इन्क्रिप्शनको लागि, प्रदर्शन एक जटिल, बहुआयामिक अवधारणा हो। यो हुन्छ कि एक निश्चित मोडेल, जबकि एक प्रदर्शन विशेषता मा उच्च, अर्को मा कम छ। तसर्थ, एन्क्रिप्शन कार्यसम्पादनका सबै कम्पोनेन्टहरू र नेटवर्कको कार्यसम्पादनमा तिनीहरूको प्रभाव र यसलाई प्रयोग गर्ने अनुप्रयोगहरूलाई विचार गर्न यो सधै उपयोगी हुन्छ। यहाँ हामी कार संग एक समानता कोर्न सक्छौं, जसको लागि न केवल अधिकतम गति महत्त्वपूर्ण छ, तर "सयौं", इन्धन खपत, र यस्तै त्वरण समय। विक्रेता कम्पनीहरू र तिनीहरूका सम्भावित ग्राहकहरूले प्रदर्शन विशेषताहरूमा ठूलो ध्यान दिन्छन्। नियमको रूपमा, एन्क्रिप्शन उपकरणहरू विक्रेता लाइनहरूमा प्रदर्शनको आधारमा श्रेणीबद्ध हुन्छन्।

यो स्पष्ट छ कि कार्यसम्पादन यन्त्रमा प्रदर्शन गरिएको नेटवर्किङ र क्रिप्टोग्राफिक अपरेसनहरूको जटिलतामा निर्भर गर्दछ (यी कार्यहरू कसरी समानान्तर र पाइपलाइन गर्न सकिन्छ) साथै हार्डवेयरको प्रदर्शन र फर्मवेयरको गुणस्तरमा। त्यसकारण, पुरानो मोडेलहरूले अधिक उत्पादक हार्डवेयर प्रयोग गर्छन्; क्रिप्टोग्राफिक कार्यहरू लागू गर्न धेरै दृष्टिकोणहरू छन्: सामान्य-उद्देश्य केन्द्रीय प्रशोधन इकाई (CPU), अनुप्रयोग-विशेष एकीकृत सर्किट (ASIC), वा क्षेत्र-प्रोग्रामेबल तर्क एकीकृत सर्किट (FPGA) मा। प्रत्येक दृष्टिकोण यसको फाइदा र बेफाइदा छ। उदाहरण को लागी, CPU एक ईन्क्रिप्शन बाधा बन्न सक्छ, विशेष गरी यदि प्रोसेसरसँग ईन्क्रिप्शन एल्गोरिथ्म समर्थन गर्न विशेष निर्देशनहरू छैनन् (वा यदि तिनीहरू प्रयोग नगरिएका छन्)। विशेष चिपहरूमा लचिलोपनको कमी हुन्छ; कार्यसम्पादन सुधार गर्न, नयाँ कार्यहरू थप्न वा कमजोरीहरूलाई हटाउन सधैं सम्भव हुँदैन। यसको अतिरिक्त, तिनीहरूको प्रयोग मात्र ठूलो उत्पादन मात्रा संग लाभदायक हुन्छ। यसैले "सुनौलो अर्थ" धेरै लोकप्रिय भएको छ - FPGA (रूसीमा FPGA) को प्रयोग। यो FPGA मा हो कि तथाकथित क्रिप्टो एक्सेलेरेटरहरू बनाइन्छ - क्रिप्टोग्राफिक कार्यहरू समर्थन गर्नको लागि निर्मित वा प्लग-इन विशेष हार्डवेयर मोड्युलहरू।

जबकी हामी कुरा गर्दैछौं नेटवर्क एन्क्रिप्शन, यो तार्किक छ कि समाधानहरूको प्रदर्शन अन्य नेटवर्क उपकरणहरूको लागि समान मात्रामा मापन गरिनु पर्छ - थ्रुपुट, फ्रेम हानिको प्रतिशत र विलम्बता। यी मानहरू RFC 1242 मा परिभाषित छन्। वैसे, यस RFC मा प्रायः उल्लेख गरिएको ढिलाइ भिन्नता (जिटर) बारे केहि लेखिएको छैन। यी मात्राहरू कसरी मापन गर्ने? मैले कुनै पनि मापदण्ड (आधिकारिक वा अनौपचारिक जस्तै RFC) मा विशेष गरी नेटवर्क ईन्क्रिप्शनको लागि अनुमोदित विधि फेला पारेको छैन। RFC 2544 मानकमा समावेश गरिएका नेटवर्क उपकरणहरूको लागि विधि प्रयोग गर्नु तार्किक हुनेछ - धेरै विक्रेताहरूले यसलाई पछ्याउँछन्, तर सबै होइन। उदाहरणका लागि, तिनीहरूले परीक्षण ट्राफिक दुवैको सट्टा केवल एक दिशामा पठाउँछन्, जस्तै सिफारिस गर्नुभयो मानक। जे भए पनि।

नेटवर्क इन्क्रिप्शन उपकरणहरूको प्रदर्शन मापन अझै पनि यसको आफ्नै विशेषताहरू छन्। पहिलो, यो उपकरणहरूको एक जोडीको लागि सबै मापनहरू पूरा गर्न सही छ: यद्यपि एन्क्रिप्शन एल्गोरिदमहरू सममित छन्, एन्क्रिप्शन र डिक्रिप्शनको समयमा ढिलाइ र प्याकेट घाटा आवश्यक रूपमा बराबर हुनेछैन। दोस्रो, यो डेल्टा मापन गर्न अर्थ बनाउँछ, अन्तिम नेटवर्क प्रदर्शनमा नेटवर्क इन्क्रिप्सनको प्रभाव, दुई कन्फिगरेसनहरू तुलना गर्दै: एन्क्रिप्शन यन्त्रहरू बिना र तिनीहरूसँग। वा, हाइब्रिड यन्त्रहरू जस्तै, जसले नेटवर्क इन्क्रिप्शनको अतिरिक्त धेरै प्रकार्यहरू संयोजन गर्दछ, एन्क्रिप्शन बन्द र सक्रियसँग। यो प्रभाव फरक हुन सक्छ र इन्क्रिप्शन यन्त्रहरूको जडान योजना, सञ्चालन मोडहरूमा र अन्तमा, ट्राफिकको प्रकृतिमा निर्भर हुन सक्छ। विशेष गरी, धेरै प्रदर्शन प्यारामिटरहरू प्याकेटहरूको लम्बाइमा निर्भर हुन्छन्, त्यसैले, विभिन्न समाधानहरूको प्रदर्शन तुलना गर्न, प्याकेटहरूको लम्बाइमा आधारित यी प्यारामिटरहरूको ग्राफहरू प्राय: प्रयोग गरिन्छ, वा IMIX प्रयोग गरिन्छ - प्याकेटद्वारा ट्राफिकको वितरण। लम्बाइ, जसले लगभग वास्तविक प्रतिबिम्बित गर्दछ। यदि हामीले इन्क्रिप्सन बिना नै समान आधारभूत कन्फिगरेसन तुलना गर्छौं भने, हामी यी भिन्नताहरूमा नपरिकन भिन्न रूपमा कार्यान्वयन गरिएका नेटवर्क इन्क्रिप्सन समाधानहरू तुलना गर्न सक्छौं: L2 सँग L3, स्टोर-र-फर्वार्ड ) कट-थ्रु, कन्भर्जेन्टसँग विशेष, AES सँग GOST र यस्तै अन्य।

प्रदर्शन परीक्षणको लागि जडान रेखाचित्र

मानिसहरूले ध्यान दिने पहिलो विशेषता भनेको इन्क्रिप्शन उपकरणको "गति" हो, त्यो हो ब्यान्डविथ (ब्यान्डविथ) यसको नेटवर्क इन्टरफेसको, बिट प्रवाह दर। यो इन्टरफेस द्वारा समर्थित नेटवर्क मापदण्ड द्वारा निर्धारण गरिन्छ। इथरनेटको लागि, सामान्य संख्याहरू 1 Gbps र 10 Gbps हुन्। तर, हामीलाई थाहा छ, कुनै पनि नेटवर्कमा अधिकतम सैद्धान्तिक थ्रुपुट (थ्रुपुट) यसको प्रत्येक स्तरमा सधैँ कम ब्यान्डविथ हुन्छ: ब्यान्डविथको अंश इन्टरफ्रेम अन्तरालहरू, सेवा हेडरहरू, र यस्तै अन्य द्वारा "खाइन्छ"। यदि कुनै यन्त्रले नेटवर्क इन्टरफेसको पूर्ण गतिमा ट्राफिक प्राप्त गर्न, प्रशोधन गर्न (हाम्रो अवस्थामा, इन्क्रिप्टिङ वा डिक्रिप्टिङ) गर्न सक्षम छ, अर्थात् नेटवर्क मोडेलको यस स्तरको लागि अधिकतम सैद्धान्तिक थ्रुपुटको साथ, तब यसलाई भनिन्छ। काम गर्न लाइन गति मा। यो गर्नको लागि, यो आवश्यक छ कि उपकरणले कुनै पनि आकार र कुनै पनि फ्रिक्वेन्सीमा प्याकेटहरू गुमाउँदैन वा खारेज गर्दैन। यदि ईन्क्रिप्शन उपकरणले लाइन गतिमा सञ्चालनलाई समर्थन गर्दैन भने, त्यसपछि यसको अधिकतम थ्रुपुट सामान्यतया समान गिगाबिट प्रति सेकेन्डमा निर्दिष्ट गरिन्छ (कहिलेकाँही प्याकेटहरूको लम्बाइ संकेत गर्दै - प्याकेटहरू जति छोटो हुन्छ, थ्रुपुट सामान्यतया कम हुन्छ)। यो बुझ्न धेरै महत्त्वपूर्ण छ कि अधिकतम थ्रुपुट अधिकतम हो बेज पोटर (यदि यन्त्रले उच्च गतिमा ट्राफिक "पम्प" गर्न सक्छ, तर एकै समयमा केही प्याकेटहरू गुमाउँदै)। साथै, सचेत रहनुहोस् कि केहि विक्रेताहरूले पोर्टहरूको सबै जोडीहरू बीचको कुल थ्रुपुट मापन गर्छन्, त्यसैले यदि सबै इन्क्रिप्टेड ट्राफिकहरू एउटै पोर्टबाट जाँदैछन् भने यी संख्याहरूले धेरै मतलब गर्दैन।

कहाँ यो विशेष गरी लाइन गति मा सञ्चालन गर्न महत्त्वपूर्ण छ (वा, अर्को शब्दमा, प्याकेट हानि बिना)? उच्च-ब्यान्डविथमा, उच्च-विलम्बता लिङ्कहरू (जस्तै उपग्रह), जहाँ उच्च प्रसारण गति कायम राख्नको लागि ठूलो TCP विन्डो आकार सेट हुनुपर्छ, र जहाँ प्याकेट हानिले नाटकीय रूपमा सञ्जाल कार्यसम्पादन घटाउँछ।

तर सबै ब्यान्डविथ उपयोगी डाटा स्थानान्तरण गर्न प्रयोग गरिन्छ। हामीले तथाकथितसँग हिसाब गर्नुपर्छ उपरि लागत (ओभरहेड) ब्यान्डविथ। यो इन्क्रिप्शन यन्त्रको थ्रुपुटको अंश हो (प्रतिशत वा बाइट्स प्रति प्याकेटको रूपमा) जुन वास्तवमा बर्बाद हुन्छ (एप्लिकेशन डेटा स्थानान्तरण गर्न प्रयोग गर्न सकिँदैन)। ओभरहेड लागतहरू उत्पन्न हुन्छन्, सर्वप्रथम, एन्क्रिप्टेड नेटवर्क प्याकेटहरूमा डाटा फिल्डको साइज (थप, "स्टफिंग") बढेको कारणले (इन्क्रिप्शन एल्गोरिथ्म र यसको सञ्चालन मोडमा निर्भर गर्दछ)। दोस्रो, प्याकेट हेडरको लम्बाइमा भएको बृद्धिको कारणले (सुरंग मोड, इन्क्रिप्शन प्रोटोकलको सेवा सम्मिलन, सिमुलेशन सम्मिलन, आदि। प्रोटोकल र साइफर र प्रसारण मोडको सञ्चालनको मोडमा निर्भर गर्दछ) - सामान्यतया यी ओभरहेड लागतहरू हुन्। सबैभन्दा महत्त्वपूर्ण, र तिनीहरूले पहिले ध्यान दिन्छन्। तेस्रो, अधिकतम डाटा एकाइ साइज (MTU) नाघेको बेला प्याकेटहरूको खण्डीकरणका कारण (यदि नेटवर्कले MTU भन्दा बढी भएको प्याकेटलाई दुई भागमा विभाजन गर्न सक्षम छ भने, यसको हेडरहरू नक्कल गर्दै)। चौथो, एन्क्रिप्शन उपकरणहरू (कुञ्जी आदानप्रदानको लागि, सुरुङ स्थापना, आदि) बीचको नेटवर्कमा अतिरिक्त सेवा (नियन्त्रण) ट्राफिकको उपस्थितिको कारणले। कम ओभरहेड महत्त्वपूर्ण छ जहाँ च्यानल क्षमता सीमित छ। यो विशेष गरी सानो प्याकेटहरूबाट ट्राफिकमा स्पष्ट हुन्छ, उदाहरणका लागि, आवाज - जहाँ ओभरहेड लागतहरूले च्यानल गतिको आधा भन्दा बढी "खान" सक्छ!

ब्यान्डविड्थ

अन्तमा, त्यहाँ थप छ ढिलाइ पेश गरियो - नेटवर्क इन्क्रिप्सन बिना र नेटवर्क इन्क्रिप्शनको साथ डाटा प्रसारण बीचको भिन्नता (सेकेन्डको अंशमा) नेटवर्क ढिलाइमा (डेटालाई नेटवर्कमा प्रवेश गर्नदेखि यसलाई छोड्नको लागि लाग्ने समय)। सामान्यतया भन्नुपर्दा, नेटवर्कको विलम्बता ("विलम्बता") जति कम हुन्छ, इन्क्रिप्शन उपकरणहरूद्वारा प्रस्तुत गरिएको विलम्बता त्यति नै महत्वपूर्ण हुन्छ। ढिलाइ ईन्क्रिप्शन अपरेसन द्वारा प्रस्तुत गरिएको छ (इन्क्रिप्शन एल्गोरिथ्म, ब्लक लम्बाइ र साइफरको सञ्चालनको मोड, साथै सफ्टवेयरमा यसको कार्यान्वयनको गुणस्तरमा निर्भर गर्दछ), र उपकरणमा नेटवर्क प्याकेटको प्रशोधन। । प्रस्तुत गरिएको विलम्बता प्याकेट प्रशोधन मोड (पास-थ्रु वा स्टोर-एन्ड-फर्वार्ड) र प्लेटफर्मको कार्यसम्पादन (FPGA वा ASIC मा हार्डवेयर कार्यान्वयन सामान्यतया CPU मा सफ्टवेयर कार्यान्वयन भन्दा छिटो हुन्छ) मा निर्भर गर्दछ। L2 इन्क्रिप्शनमा L3 वा L4 इन्क्रिप्सन भन्दा कम विलम्बता हुन्छ, L3/L4 इन्क्रिप्सन यन्त्रहरू प्राय: कन्भर्ज हुने भएकाले। उदाहरणका लागि, FPGAs मा लागू गरिएका उच्च-गति ईथरनेट इन्क्रिप्टरहरू र L2 मा इन्क्रिप्टिङ गर्दा, इन्क्रिप्सन सञ्चालनको कारणले हुने ढिलाइ कम हुन्छ - कहिलेकाहीँ जब इन्क्रिप्सन उपकरणहरूको जोडीमा सक्षम हुन्छ, तिनीहरूद्वारा प्रस्तुत गरिएको कुल ढिलाइ पनि घट्छ! कम विलम्बता महत्त्वपूर्ण छ जहाँ यो समग्र च्यानल ढिलाइसँग तुलना गर्न सकिन्छ, प्रसार ढिलाइ सहित, जुन लगभग 5 μs प्रति किलोमिटर हो। त्यो हो, हामी भन्न सक्छौं कि शहरी-स्केल नेटवर्कहरू (दशौं किलोमिटर माथि) को लागि, माइक्रोसेकेन्डले धेरै निर्णय गर्न सक्छ। उदाहरण को लागी, सिंक्रोनस डाटाबेस प्रतिकृति को लागी, उच्च आवृत्ति व्यापार, समान blockchain।

ढिलाइको परिचय दियो

स्केलेबिलिटी

ठूला वितरित नेटवर्कहरूले हजारौं नोडहरू र नेटवर्क उपकरणहरू, सयौं स्थानीय नेटवर्क खण्डहरू समावेश गर्न सक्छन्। यो महत्त्वपूर्ण छ कि ईन्क्रिप्शन समाधानहरूले वितरित नेटवर्कको आकार र टोपोलोजीमा थप प्रतिबन्धहरू थोपर्दैन। यो मुख्य रूपमा होस्ट र नेटवर्क ठेगानाहरूको अधिकतम संख्यामा लागू हुन्छ। त्यस्ता सीमितताहरू सामना गर्न सकिन्छ, उदाहरणका लागि, मल्टिपोइन्ट इन्क्रिप्टेड नेटवर्क टोपोलोजी (स्वतन्त्र सुरक्षित जडानहरू, वा टनेलहरूसँग) वा चयनात्मक इन्क्रिप्सन (उदाहरणका लागि, प्रोटोकल नम्बर वा VLAN द्वारा) लागू गर्दा। यदि यस अवस्थामा सञ्जाल ठेगानाहरू (MAC, IP, VLAN ID) तालिकामा कुञ्जीहरूको रूपमा प्रयोग गरिन्छ जसमा पङ्क्तिहरूको संख्या सीमित छ, तब यी प्रतिबन्धहरू यहाँ देखा पर्दछन्।

थप रूपमा, ठूला नेटवर्कहरूमा प्राय: कोर नेटवर्क सहित धेरै संरचनात्मक तहहरू हुन्छन्, जसमध्ये प्रत्येकले आफ्नै ठेगाना योजना र आफ्नै मार्ग नीति लागू गर्दछ। यो दृष्टिकोण लागू गर्न, विशेष फ्रेम ढाँचाहरू (जस्तै Q-in-Q वा MAC-in-MAC) र रूटिङ प्रोटोकलहरू प्रायः प्रयोग गरिन्छ। त्यस्ता सञ्जालहरूको निर्माणमा अवरोध नगर्नको लागि, इन्क्रिप्सन यन्त्रहरूले त्यस्ता फ्रेमहरूलाई सही रूपमा ह्यान्डल गर्नुपर्छ (यस अर्थमा, स्केलेबिलिटीको अर्थ अनुकूलता हुनेछ - तल थपमा)।

लचिलोपन

यहाँ हामी विभिन्न कन्फिगरेसनहरू, जडान योजनाहरू, टोपोलोजीहरू र अन्य चीजहरूलाई समर्थन गर्ने बारे कुरा गर्दैछौं। उदाहरणका लागि, क्यारियर इथरनेट प्रविधिहरूमा आधारित स्विच गरिएका नेटवर्कहरूका लागि, यसको मतलब विभिन्न प्रकारका भर्चुअल जडानहरू (E-Line, E-LAN, E-Tree), विभिन्न प्रकारका सेवाहरू (दुवै पोर्ट र VLAN द्वारा) र विभिन्न यातायात प्रविधिहरूका लागि समर्थन हो। (तिनीहरू पहिले नै माथि सूचीबद्ध छन्)। अर्थात्, यन्त्रले दुवै रैखिक ("पोइन्ट-टु-पोइन्ट") र मल्टिपोइन्ट मोडहरूमा काम गर्न, विभिन्न VLAN हरूका लागि छुट्टाछुट्टै सुरुङहरू स्थापना गर्न र सुरक्षित च्यानल भित्र प्याकेटहरूको आउट-अफ-अर्डर डेलिभरीलाई अनुमति दिन सक्षम हुनुपर्छ। विभिन्न साइफर मोडहरू (सामग्री प्रमाणीकरण सहित वा बिना बिना) र विभिन्न प्याकेट प्रसारण मोडहरू चयन गर्ने क्षमताले तपाईंलाई वर्तमान अवस्थाहरूमा निर्भर गर्दै शक्ति र कार्यसम्पादन बीच सन्तुलन कायम गर्न अनुमति दिन्छ।

दुबै निजी सञ्जालहरूलाई समर्थन गर्न पनि महत्त्वपूर्ण छ, जसको उपकरण एक संस्थाको स्वामित्वमा छ (वा यसलाई भाडामा लिइएको छ), र अपरेटर नेटवर्कहरू, जसका विभिन्न खण्डहरू विभिन्न कम्पनीहरूद्वारा व्यवस्थित छन्। यो राम्रो छ यदि समाधानले घरभित्र र तेस्रो पक्षद्वारा व्यवस्थापन गर्न अनुमति दिन्छ (व्यवस्थित सेवा मोडेल प्रयोग गरेर)। अपरेटर सञ्जालहरूमा, अर्को महत्त्वपूर्ण प्रकार्य व्यक्तिगत ग्राहकहरू (सदस्यहरू) को क्रिप्टोग्राफिक अलगावको रूपमा बहु-भाडा (विभिन्न ग्राहकहरूद्वारा साझेदारी) को लागि समर्थन हो जसको ट्राफिक एन्क्रिप्शन उपकरणहरूको एउटै सेट मार्फत जान्छ। यसले सामान्यतया प्रत्येक ग्राहकको लागि कुञ्जीहरू र प्रमाणपत्रहरूको छुट्टै सेटहरूको प्रयोग गर्न आवश्यक छ।

यदि कुनै यन्त्र एक विशेष परिदृश्यको लागि खरिद गरिएको छ भने, त्यसपछि यी सबै सुविधाहरू धेरै महत्त्वपूर्ण नहुन सक्छ - तपाईंले भर्खर निश्चित गर्न आवश्यक छ कि यन्त्रले तपाईंलाई अहिले चाहिने कुरालाई समर्थन गर्दछ। तर यदि समाधान "बृद्धिको लागि" खरीद गरिएको छ, भविष्यका परिदृश्यहरूलाई पनि समर्थन गर्न, र "कर्पोरेट मानक" को रूपमा छनोट गरिएको छ भने, लचिलोपन अनावश्यक हुनेछैन - विशेष गरी विभिन्न विक्रेताहरूबाट उपकरणहरूको अन्तरसञ्चालनमा प्रतिबन्धहरूलाई ध्यानमा राख्दै (। तल यस बारे थप)।

सरलता र सुविधा

सेवाको सहजता पनि बहुपक्षीय अवधारणा हो। लगभग, हामी भन्न सक्छौं कि यो जीवन चक्रको विभिन्न चरणहरूमा समाधानलाई समर्थन गर्न आवश्यक निश्चित योग्यताका विशेषज्ञहरूले खर्च गरेको कुल समय हो। यदि त्यहाँ कुनै लागतहरू छैनन्, र स्थापना, कन्फिगरेसन, र सञ्चालन पूर्ण रूपमा स्वचालित छन्, तब लागतहरू शून्य छन् र सुविधा निरपेक्ष छ। निस्सन्देह, यो वास्तविक संसारमा हुँदैन। एक उचित अनुमान एक मोडेल हो "तार मा गाँठो" (बम्प-इन-द-तार), वा पारदर्शी जडान, जसमा एन्क्रिप्शन यन्त्रहरू थप्ने र असक्षम गर्न नेटवर्क कन्फिगरेसनमा कुनै म्यानुअल वा स्वचालित परिवर्तनहरू आवश्यक पर्दैन। एकै समयमा, समाधान कायम राख्ने सरलीकृत छ: तपाईं सुरक्षित रूपमा एन्क्रिप्शन प्रकार्य खोल्न र बन्द गर्न सक्नुहुन्छ, र आवश्यक भएमा, केवल नेटवर्क केबलको साथ उपकरणलाई "बाइपास" गर्नुहोस् (अर्थात, नेटवर्क उपकरणको ती पोर्टहरू सीधा जडान गर्नुहोस् जसमा। जोडिएको थियो)। साँचो, त्यहाँ एउटा कमजोरी छ - एक आक्रमणकारीले पनि गर्न सक्छ। "तार मा नोड" सिद्धान्त लागू गर्न, यो ट्राफिक मात्र होइन खातामा लिन आवश्यक छ डाटा तहतर नियन्त्रण र व्यवस्थापन तहहरू - उपकरणहरू तिनीहरूलाई पारदर्शी हुनुपर्छ। त्यसकारण, त्यस्ता ट्राफिकहरू गुप्तिकरण उपकरणहरू बीचको नेटवर्कमा यी प्रकारका ट्राफिकहरू प्राप्तकर्ताहरू नभएको बेला मात्र इन्क्रिप्ट गर्न सकिन्छ, किनकि यदि यसलाई खारेज वा इन्क्रिप्ट गरिएको छ, तब तपाईंले इन्क्रिप्सन सक्षम वा असक्षम गर्दा, नेटवर्क कन्फिगरेसन परिवर्तन हुन सक्छ। इन्क्रिप्शन उपकरण पनि भौतिक तह संकेत गर्न पारदर्शी हुन सक्छ। विशेष गरी, जब एक संकेत हराएको छ, यसले यो हानि (अर्थात, यसको ट्रान्समिटरहरू बन्द गर्नुहोस्) अगाडि र पछाडि ("आफैको लागि") संकेतको दिशामा प्रसारण गर्नुपर्छ।

सूचना सुरक्षा र IT विभागहरू, विशेष गरी नेटवर्क विभाग, बीचको अधिकार विभाजनमा समर्थन पनि महत्त्वपूर्ण छ। इन्क्रिप्सन समाधानले संगठनको पहुँच नियन्त्रण र लेखा परीक्षण मोडेललाई समर्थन गर्नुपर्छ। नियमित कार्यहरू गर्न विभिन्न विभागहरू बीचको अन्तरक्रियाको आवश्यकतालाई न्यूनीकरण गर्नुपर्छ। तसर्थ, विशेष उपकरणहरूका लागि सुविधाको सन्दर्भमा एउटा फाइदा छ जुन विशेष रूपमा इन्क्रिप्शन प्रकार्यहरूलाई समर्थन गर्दछ र नेटवर्क सञ्चालनहरूमा सकेसम्म पारदर्शी हुन्छ। सरल शब्दमा भन्नुपर्दा, सूचना सुरक्षा कर्मचारीहरूसँग नेटवर्क सेटिङहरू परिवर्तन गर्न "सञ्जाल विशेषज्ञहरू" लाई सम्पर्क गर्ने कुनै कारण हुँदैन। र ती, बारीमा, नेटवर्क कायम गर्दा इन्क्रिप्शन सेटिङहरू परिवर्तन गर्न आवश्यक छैन।

अर्को कारक भनेको नियन्त्रणको क्षमता र सुविधा हो। तिनीहरू दृश्य, तार्किक, सेटिङहरूको आयात-निर्यात, स्वचालन, इत्यादि प्रदान गर्नुपर्छ। तपाईले तुरुन्तै ध्यान दिनुपर्छ कि कुन व्यवस्थापन विकल्पहरू उपलब्ध छन् (सामान्यतया तिनीहरूको आफ्नै व्यवस्थापन वातावरण, वेब इन्टरफेस र कमाण्ड लाइन) र तिनीहरूमध्ये प्रत्येकका प्रकार्यहरूको सेट छ (त्यहाँ सीमितताहरू छन्)। एक महत्त्वपूर्ण कार्य समर्थन छ ब्यान्ड बाहिर (ब्यान्ड बाहिर) नियन्त्रण, अर्थात्, एक समर्पित नियन्त्रण नेटवर्क मार्फत, र इन-ब्यान्ड (इन-ब्यान्ड) नियन्त्रण, त्यो हो, एक साझा नेटवर्क मार्फत जसको माध्यमबाट उपयोगी ट्राफिक प्रसारित हुन्छ। व्यवस्थापन उपकरणहरूले सूचना सुरक्षा घटनाहरू सहित सबै असामान्य अवस्थाहरू संकेत गर्नुपर्छ। दिनचर्या, दोहोरिने कार्यहरू स्वचालित रूपमा गरिनुपर्छ। यो मुख्य रूपमा प्रमुख व्यवस्थापनसँग सम्बन्धित छ। तिनीहरू स्वचालित रूपमा उत्पन्न / वितरण हुनुपर्छ। PKI समर्थन एक ठूलो प्लस हो।

अनुकूलता

त्यो हो, नेटवर्क मानकहरूसँग उपकरणको अनुकूलता। यसबाहेक, यसको अर्थ IEEE जस्ता आधिकारिक संस्थाहरूले अपनाएका औद्योगिक मापदण्डहरू मात्र होइन, सिस्को जस्ता उद्योगका नेताहरूको स्वामित्वको प्रोटोकलहरू पनि हो। अनुकूलता सुनिश्चित गर्न दुई मुख्य तरिकाहरू छन्: या त मार्फत पारदर्शिता, वा मार्फत स्पष्ट समर्थन प्रोटोकलहरू (जब एन्क्रिप्शन उपकरण निश्चित प्रोटोकलको लागि नेटवर्क नोडहरू मध्ये एक बन्छ र त्यो प्रोटोकलको नियन्त्रण ट्राफिक प्रशोधन गर्दछ)। नेटवर्कहरूसँग अनुकूलता नियन्त्रण प्रोटोकलहरूको कार्यान्वयनको पूर्णता र शुद्धतामा निर्भर गर्दछ। विभिन्न PHY स्तर विकल्पहरू (गति, प्रसारण माध्यम, कोडिङ योजना), कुनै पनि MTU सँग विभिन्न ढाँचाहरूको इथरनेट फ्रेमहरू, र विभिन्न L3 सेवा प्रोटोकलहरू (मुख्य रूपमा परिवार) लाई समर्थन गर्नु महत्त्वपूर्ण छ। TCP/IP).

पारदर्शितालाई उत्परिवर्तन (इन्क्रिप्टरहरू बीचको ट्राफिकमा खुला हेडरहरूको सामग्रीहरू अस्थायी रूपमा परिवर्तन गर्ने), स्किपिङ (जब व्यक्तिगत प्याकेटहरू एन्क्रिप्ट नगरिएको रहन्छ) र इन्क्रिप्शनको सुरुवातको इन्डेन्टेसन (जब सामान्य रूपमा प्याकेटहरूको इन्क्रिप्टेड क्षेत्रहरू इन्क्रिप्ट गरिएका हुँदैनन्) मार्फत पारदर्शिता सुनिश्चित गरिन्छ।

कसरी पारदर्शिता सुनिश्चित गरिएको छ

त्यसकारण, सधैँ जाँच गर्नुहोस् कि कसरी एक विशेष प्रोटोकलको लागि समर्थन प्रदान गरिएको छ। प्राय: पारदर्शी मोडमा समर्थन अधिक सुविधाजनक र भरपर्दो छ।

अन्तरक्रियाशीलता

यो पनि अनुकूलता हो, तर फरक अर्थमा, अर्थात् अन्य निर्माताहरूबाट इन्क्रिप्शन यन्त्रहरूको अन्य मोडेलहरूसँग काम गर्ने क्षमता। धेरै एन्क्रिप्शन प्रोटोकल को मानकीकरण को स्थिति मा निर्भर गर्दछ। L1 मा कुनै पनि सामान्यतया स्वीकृत इन्क्रिप्सन मानकहरू छैनन्।

इथरनेट नेटवर्कहरूमा L2 इन्क्रिप्सनको लागि 802.1ae (MACsec) मानक छ, तर यसले प्रयोग गर्दैन। अन्त देखि अन्त (अन्त देखि अन्त), र अन्तर्वार्ता, "हप-बाय-हप" इन्क्रिप्शन, र यसको मूल संस्करणमा वितरित नेटवर्कहरूमा प्रयोगको लागि अनुपयुक्त छ, त्यसैले यसको स्वामित्व विस्तारहरू देखा परेका छन् जसले यस सीमालाई पार गर्दछ (अवश्य पनि, अन्य निर्माताहरूबाट उपकरणहरूसँग अन्तरक्रियाशीलताको कारणले)। ठीक छ, 2018 मा, वितरित नेटवर्कहरूको लागि समर्थन 802.1ae मानकमा थपिएको थियो, तर GOST एन्क्रिप्शन एल्गोरिथ्म सेटहरूको लागि अझै कुनै समर्थन छैन। तसर्थ, स्वामित्व, गैर-मानक L2 एन्क्रिप्शन प्रोटोकलहरू, एक नियमको रूपमा, अधिक दक्षता (विशेष गरी, कम ब्यान्डविथ ओभरहेड) र लचिलोपन (इन्क्रिप्शन एल्गोरिदम र मोडहरू परिवर्तन गर्ने क्षमता) द्वारा भिन्न हुन्छन्।

उच्च स्तरहरूमा (L3 र L4) त्यहाँ मान्यता प्राप्त मानकहरू छन्, मुख्य रूपमा IPsec र TLS, तर यहाँ पनि यो त्यति सरल छैन। तथ्य यो हो कि यी मापदण्डहरू मध्ये प्रत्येक प्रोटोकलहरूको सेट हो, प्रत्येकमा विभिन्न संस्करणहरू र विस्तारहरू आवश्यक वा कार्यान्वयनको लागि वैकल्पिक छन्। थप रूपमा, केही निर्माताहरूले L3/L4 मा तिनीहरूको स्वामित्व इन्क्रिप्शन प्रोटोकलहरू प्रयोग गर्न रुचाउँछन्। तसर्थ, धेरै जसो केसहरूमा तपाईंले पूर्ण अन्तरक्रियात्मकतामा भरोसा गर्नु हुँदैन, तर यो महत्त्वपूर्ण छ कि कम्तिमा फरक मोडेलहरू र एउटै निर्माताको विभिन्न पुस्ताहरू बीच अन्तरक्रिया सुनिश्चित गरिएको छ।

विश्वसनीयता

विभिन्न समाधानहरू तुलना गर्न, तपाइँ असफलता वा उपलब्धता कारक बीचको मतलब समय प्रयोग गर्न सक्नुहुन्छ। यदि यी नम्बरहरू उपलब्ध छैनन् (वा तिनीहरूमा कुनै विश्वास छैन), त्यसपछि गुणात्मक तुलना गर्न सकिन्छ। सुविधाजनक व्यवस्थापन भएका यन्त्रहरूमा फाइदा हुन्छ (कन्फिगरेसन त्रुटिहरूको कम जोखिम), विशेष इन्क्रिप्टरहरू (उही कारणका लागि), साथै असफलता पत्ता लगाउन र हटाउनको लागि न्यूनतम समयको साथ समाधानहरू, सम्पूर्ण नोडहरूको "तातो" ब्याकअप र उपकरणहरू।

को लागत

जब यो लागतको कुरा आउँछ, धेरै जसो IT समाधानहरूको साथ, यसले स्वामित्वको कुल लागत तुलना गर्न अर्थ दिन्छ। यसलाई गणना गर्न, तपाईंले पाङ्ग्रालाई पुन: आविष्कार गर्नु पर्दैन, तर कुनै उपयुक्त विधि (उदाहरणका लागि, गार्टनरबाट) र कुनै पनि क्यालकुलेटर (उदाहरणका लागि, TCO गणना गर्न संगठनमा पहिले नै प्रयोग भइसकेको) प्रयोग गर्नुहोस्। यो स्पष्ट छ कि नेटवर्क ईन्क्रिप्शन समाधानको लागि, स्वामित्वको कुल लागत समावेश छ प्रत्यक्ष समाधान आफैं किन्न वा भाडामा लिने लागत, होस्टिंग उपकरणको लागि पूर्वाधार र तैनाती, प्रशासन र मर्मतसम्भारको लागत (चाहे घरभित्र होस् वा तेस्रो-पक्ष सेवाहरूको रूपमा), साथै अप्रत्यक्ष समाधान डाउनटाइमबाट लागतहरू (अन्त-प्रयोगकर्ता उत्पादकताको हानिको कारणले)। त्यहाँ शायद एक मात्र सूक्ष्मता छ। समाधानको कार्यसम्पादन प्रभावलाई विभिन्न तरिकामा विचार गर्न सकिन्छ: या त हराएको उत्पादकताको कारणले अप्रत्यक्ष लागतको रूपमा, वा नेटवर्क उपकरणहरू खरिद/अपग्रेड गर्ने र मर्मत गर्ने "भर्चुअल" प्रत्यक्ष लागतको रूपमा जुन प्रयोगको कारणले सञ्जाल कार्यसम्पादनमा भएको हानिको क्षतिपूर्ति हुन्छ। इन्क्रिप्सन। कुनै पनि अवस्थामा, पर्याप्त शुद्धता संग गणना गर्न गाह्रो छ कि खर्च सबै भन्दा राम्रो गणना बाहिर छोडिन्छ: यस तरिका त्यहाँ अन्तिम मूल्य मा अधिक विश्वास हुनेछ। र, सामान्य रूपमा, कुनै पनि अवस्थामा, TCO द्वारा तिनीहरूको प्रयोगको एक विशिष्ट परिदृश्य - वास्तविक वा विशिष्टको लागि विभिन्न यन्त्रहरू तुलना गर्न अर्थ लाग्छ।

दृढता

र अन्तिम विशेषता समाधान को दृढता हो। धेरै जसो अवस्थामा, स्थायित्व केवल विभिन्न समाधानहरू तुलना गरेर गुणात्मक रूपमा मूल्याङ्कन गर्न सकिन्छ। हामीले याद गर्नुपर्छ कि इन्क्रिप्शन यन्त्रहरू एक साधन मात्र होइन, तर सुरक्षाको वस्तु पनि हो। तिनीहरू विभिन्न खतराहरूको सामना गर्न सक्छन्। सबैभन्दा अगाडि गोपनीयता, प्रजनन र सन्देशहरूको परिमार्जनको उल्लङ्घनको धम्कीहरू छन्। यी खतराहरू साइफर वा यसको व्यक्तिगत मोडहरूको कमजोरीहरू मार्फत, इन्क्रिप्शन प्रोटोकलहरूमा कमजोरीहरू मार्फत महसुस गर्न सकिन्छ (एक जडान स्थापना गर्ने र उत्पादन/वितरण गर्ने कुञ्जीहरू सहित)। फाइदा समाधानहरूमा हुनेछ जसले ईन्क्रिप्शन एल्गोरिथ्म परिवर्तन गर्न वा साइफर मोड स्विच गर्न अनुमति दिन्छ (कम्तीमा फर्मवेयर अपडेट मार्फत), समाधानहरूमा जसले सबैभन्दा पूर्ण इन्क्रिप्शन प्रदान गर्दछ, आक्रमणकर्ताबाट लुकाउने प्रयोगकर्ता डेटा मात्र होइन, ठेगाना र अन्य सेवाहरू पनि। सूचना, साथै प्राविधिक जानकारीहरू जसले इन्क्रिप्ट मात्र गर्दैन, तर सन्देशहरूलाई पुन: उत्पादन र परिमार्जनबाट पनि जोगाउँछ। सबै आधुनिक ईन्क्रिप्शन एल्गोरिदमहरू, इलेक्ट्रोनिक हस्ताक्षरहरू, कुञ्जी जेनेरेसन, इत्यादिका लागि, जुन मापदण्डहरूमा राखिएको छ, शक्ति उस्तै मान्न सकिन्छ (अन्यथा तपाईं केवल क्रिप्टोग्राफीको जंगलमा हराउन सक्नुहुन्छ)। यी आवश्यक GOST एल्गोरिदम हुनुपर्छ? यहाँ सबै कुरा सरल छ: यदि अनुप्रयोग परिदृश्यलाई CIPF को लागि FSB प्रमाणीकरण आवश्यक छ (र रूसमा यो प्राय: मामला हो; धेरै नेटवर्क इन्क्रिप्शन परिदृश्यहरूको लागि यो सत्य हो), तब हामी प्रमाणितहरू बीच मात्र छनौट गर्छौं। यदि होइन भने, त्यहाँ विचारबाट प्रमाणपत्रहरू बिना उपकरणहरू बहिष्कार गर्ने कुनै मतलब छैन।

अर्को खतरा ह्याकिङको धम्की हो, यन्त्रहरूमा अनाधिकृत पहुँच (भौतिक पहुँच मार्फत बाहिर र केस भित्र)। धम्की मार्फत गर्न सकिन्छ
कार्यान्वयनमा कमजोरीहरू - हार्डवेयर र कोडमा। तसर्थ, नेटवर्क मार्फत न्यूनतम "आक्रमण सतह" को साथ समाधानहरू, भौतिक पहुँचबाट सुरक्षित एन्क्लोजरहरू (इन्ट्र्युसन सेन्सरहरू, प्रोबिङ प्रोटेक्सन र एन्क्लोजर खोल्दा मुख्य जानकारीको स्वचालित रिसेटको साथ), साथै फर्मवेयर अद्यावधिकहरूलाई अनुमति दिने समाधानहरू हुनेछन्। घटनामा एक फाइदा जुन कोडमा कमजोरी थाहा हुन्छ। त्यहाँ अर्को तरिका छ: यदि तुलना गरिँदै सबै यन्त्रहरूसँग FSB प्रमाणपत्रहरू छन् भने, CIPF वर्ग जसको लागि प्रमाणपत्र जारी गरिएको थियो ह्याकिङको प्रतिरोधको सूचक मान्न सकिन्छ।

अन्तमा, अर्को प्रकारको खतरा सेटअप र सञ्चालनको क्रममा त्रुटिहरू हो, मानव कारक यसको शुद्ध रूपमा। यसले कन्भर्ज्ड समाधानहरूमा विशेष ईन्क्रिप्टरहरूको अर्को फाइदा देखाउँदछ, जुन प्रायः अनुभवी "नेटवर्क विशेषज्ञहरू" लाई लक्षित गरिन्छ र "साधारण", सामान्य सूचना सुरक्षा विशेषज्ञहरूका लागि कठिनाइहरू निम्त्याउन सक्छ।

सारांश

सिद्धान्तमा, यहाँ विभिन्न यन्त्रहरू तुलना गर्नका लागि केही प्रकारको अभिन्न सूचक प्रस्ताव गर्न सम्भव हुनेछ, जस्तै केहि

$$display$$K_j=∑p_i r_{ij}$$display$$

जहाँ p सूचकको वजन हो, र r यो सूचक अनुसार यन्त्रको श्रेणी हो, र माथि सूचीबद्ध कुनै पनि विशेषताहरूलाई "परमाणु" सूचकहरूमा विभाजन गर्न सकिन्छ। यस्तो सूत्र उपयोगी हुन सक्छ, उदाहरणका लागि, पूर्व-सहमत नियमहरू अनुसार टेन्डर प्रस्तावहरू तुलना गर्दा। तर तपाईं एक साधारण तालिका जस्तै प्राप्त गर्न सक्नुहुन्छ

Характеристика
यन्त्र १
यन्त्र १
...
यन्त्र एन

ब्यान्डविड्थ
+
+

+++

ओभरहेडहरू
+
++

+++

ढिलाइ
+
+

++

स्केलेबिलिटी
+++
+

+++

लचिलोपन
+++
++

+

अन्तरक्रियाशीलता
++
+

+

अनुकूलता
++
++

+++

सरलता र सुविधा
+
+

++

दोष सहिष्णुता
+++
+++

++

को लागत
++
+++

+

दृढता
++
++

+++

म प्रश्न र रचनात्मक आलोचनाको जवाफ दिन खुसी हुनेछु।

स्रोत: www.habr.com